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(54) Ausfallsicheres Bussystem 

(57) Gegenstand der Erf indung ist ein serielles Bus- 
system mit zwei Datenleitungen (10, 12). an die an 
einem Ende ein zentraler Busteilnehmer (14) und am 
anderen Ende ein aktiver Busteilnehmer (16) ange- 
schlossen sind. Der zentrale und der aktive Busteilneh- 
mer senden Statusmeldungen auf den Bus (10, 1 2), von 
denen die Busleitungen in den Busteilnehmern (18, 20) 

Feidbus mit AbschluH - Modul 



zwischen den beiden Enden physisch durchgeschleift 
sind. Bei Ausbleiben der Statusmeldungen oder Fehler 
anzeigenden Statusmeldungen versetzt der zentrale 
Busteilnehmer (14) das Bussystem in einen Fail-Safe- 
Zustand. 
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Fehlerausschun.dafl die Vertindungsleilungen vom 
Bus zum Teil-Modul A sowie vom Bus zum Teil-Modul 8 
nichi gleichzeilig d.h, innerhaib des gegenseitigen 
Priilzyklus A<> B (2.B. lOOms) unJcrbrochen werdcn 
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Beschreibung 

Die Erfindung bezieht sich auf ein Bussystem. 

Busse verbinden uber elektrische Ubertragungslei- 
tungen Teilnehmer miteinander Die Anschlussstellen 
der Busteilnehmer sind an beliebigen Orten langs der 
Ubertragungsleitungen angeordnet. Die Ubertragungs- 
leitung eines seriellen Busses kann eine verdriilte Zwei- 
drahtleitung oder eine Koaxialleitung sein. Busse haben 
einen erheblichen Kostenvorteil gegeniiber konventio- 
neller Verdrahtungstechnik und eine Vielfalt an zentral 
verfugbaren Informationen sowie Flexibilitat. Serielle 
Busse sind beispielsweise unter der Bezeichnung Prof 1- 
bus, Bitbus usw. bekannt. Die Teilnehmer sind z.B. Ein- 
, Ausgabemodule fur Sensorsignale und/oder Stellele- 
mentei bzw. Aktoren. 

Fur die Ubertragung sicherheitsgerichteter Signale 
konnen nur Busse bzw. Bussysteme eingesetzt werden, 
die fehlertolerant bzw. redundant aufgebaut sind. 
Sicherheitsgerichtete Signale sind solche, die sicher- 
heitstechnische Zwecke oder Auflagen erfullen, um 
gefahrliche Zustande fur Personen oder Schaden durch 
elektrische Ausrustungen zu vermeiden bzw. rasch zu 
beseitigen. Ein redundantes Datenbussystem, das 
sicherheitstechnischen Anforderungen genugt, ist aus 
der DE-Z, messen prufen automatisieren, 10/95, Seite 
10, 12 - 14 und 16 bekannt. Bei diesem bekannten 
Datenbussystem sind ein fehlersicherer Automatisie- 
rungsprozessor und Teilnehmer uber zwei Busschnitt- 
stellen miteinander verbunden. Der fehlersichere 
Automatisierungsprozessor besteht aus zwei Prozes- 
sorsystemen, jeweils mit eigenem Mikroprozessor, 
Speicher und Systembus. Die beiden Prozessorsy- 
steme bearbeiten taktsynchron das gleiche Programm. 
Ein in bestimmten Zeitintervalten auf einwandfreie 
Funktion uberprufter Vergleicher uberwacht die beiden 
Prozessorsysteme. Wird ein Fehler in einem Prozessor- 
system festgestellt. werden die AusgSnge aller Teilneh- 
mer auf ein definiertes Signal eingestellt, was das 
Versetzen aller von den Teilnehmern gesteuerten Akto- 
ren in einen vorbestimmten Sicherheitszustand bewirkt. 
Die fehlersicheren Automatisierungsprozessoren sind 
uber zwei Automatisierungsprozessoren mit einem 
Aniagenbus verbunden. Von den beiden Automatisie- 
rungsprozessoren, die jeweils gleiche Komponenten 
aufweisen, muss nur einer funktionstuchtig sein. Die 
Automatisierungsprozessoren arbeiten im Master- 
Reserve- Betrieb. Um einen Fehler im System sicher zu 
erkennen. werden neben Selbsttests die Kommunikati- 
onsverbindungen und weitere Hardwarekomponenten 
zyWisch gepruft. Im Fehlerfall wird der defekte Automa- 
tisierungsprozessor in einen definierten Stop-Zustand 
versetzt. 

Eine Systemabschaltung aufgrund eines festge- 
stellten Fehlers bedeutet. dass die Maschinen, Ferti- 
gungsanlagen und dhnliches in einen fur Personen 
ungefahrlichen Zustand versetzt werden. Ein Fehler 
muss innerhalb einer Fehlerreaktionszeit von zum Bei- 



spiel 20 ms erkannt werden; und innerhalb dieser Zeit 
muss auch die Not-Abschaltung der elektrischen Ausru- 
stung erfolgen. 

Eine vollstandig doppelte Busausfuhrung erfordert 

5 nicht nur die doppelte zweikanalige Ausfuhrung der 
Bus-Module fur die Sensoren sowie 2 Bus-Master zur 
Systemuberwachung und fehlersicherer Abschaltung. 
sondern auch die Verlegung zweier unabhSngiger Lei- 
tungssysteme. Durch die doppelte Busausfuhrung wird 

10 ein entscheidender Vorteil eines Bussystems gegen- 
uber herkemmlicher Einzelverdrahtung zum Beispiel 
jedes Sensorschalters teilweise wieder zunichte 
gemacht. Man kann den doppelten Leitungsaufwand 
vermeiden, indem man eine einzelne Busleitung 

15 zwangsdynamisiert. Man spricht in diesem Fall von 
dynamischer Redundanz, ein bereits bekanntes Verfah- 
ren. Die Dynamisierung bedeutet. dass alle Bus- 
Module standig zyklisch auf Funktionstuchtigkeit und 
Meldezustand von dem auswertenden Master abge- 

20 fragt werden (Master-Slave-System) oder sich selbstan- 
dig regelmSBig melden (Multi-Master-System). 

Bei Multi-Master-Bussystemen konnen sich die 
Bus-Module (z.B. bei Schalter-Betatigung) sofort, d.h. 
im (isec-Bereich selbstSndig melden (sog. Echtzeitfa- 

25 higkeit), so dass fur die sicherheitstechnische Uberwa- 
chung einer Aniage keine standige Modulabfrage ndtig 
ware. Um jedoch auch einen Fehler im ubenwachenden 
Bussystem selbst. z.B. den Ausfall eines Bus-Modules 
innerhalb der Fehletreaktionszeit (z.B. 20 ms s.o.) zu 

30 erkennen, uberpuft man alle Bus-Module-Teilnehmer in 
diesem Zeitraum je mindestens 1 x auf ihren Funktions- 
Zustand. Da zur Gewahrleistung einer hohen Daten- 
ubertragungssicherheit (Hamming-Distanz 4) die Mel- 
dungen jeweils aus umfangreichen Datenprotokollen 

35 bestehen (50 ... 80 bit), bedeutet diese Dynamisierung 
somit einen mit der Teilnehmerzahl proportional stei- 
genden Datenfluss (Datenubertragungsrate) zur 
System-Ubenwachung. 

Andererseits ist die Datenubertragungsrate eines 

40 Bussystems wegen der Signallaufzeiten (Leitungs- 
lange) sowie der Modul-Reaktionszeiten (Teilnehmer- 
zahl) begrenzt. 

Es besteht also ein Konflikt zwischen dem Wunsch 
nach grC3eren Leitungsiangen (z.B. 100 ... 300 m) und 

45 vielen Busteilnehmern z.B. 50 ... 100 auf der einen 
Seite sowie dem technischen Aufwand zur Ubertragung 
und Auswertung heherer Datenubertragungsraten 
(typisch 125 ... 1000 kbit/s) andererseits. 

Zur Verringerung der Datenubertragungsrate bietet 

50 sich die MOglichkeit an, die Bus-Module, die in einem 
Sicherheitsbus ohnehin doppelt (zweikanalig/redun- 
dant) vorgesehen sind, sich gegenseitig paarweise auf 
fehlerfreie Funktion uberwachen zu lassen. so dass nur 
bei interner Differenz ein Teilnehmer eines Bus-Modul- 

55 Paares eine Bus-Fehler-Meldung abgeben muss. Die- 
ses Verfahren setzt aber voraus, dass die Busleitung 
zwischen dem auswertenden Master und jedem Modul 
jederzeit fehlerfrei und voll funktionsfahig ist. Da die Lei- 
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tung nicht doppelt und rSumlich getrennt ausgefuhrt 
sein soli, muss die Leitung selbst dynamisch uberpruft 
werden. und zwar bis zu alien Busteilnehmern. Ein Lei- 
tungsfehler muss innerhalb der Fehiertoleranzzeit 
erkannt werden. Die zykiische Uberprufung aller Bus- 5 
teilnehmer erfordert wegen des hohen Dateniibertra- 
gungsaufwands eine so groBe Zeit, da3 die notwendige 
Fehlerreaktionszeit nicht mehr eingehalten bzw. unter- 
schritten werden kann, 

Bekannt ist auch ein lokales Netzwerk, bei dem aus 10 
Redundanzgrunden zwei serielle Bussysteme vorgese- 
hen sind, an die Netzknoten angeschlossen sind. Jeder 
Netzknoten ist durch zwei getrennte Ankopplungen mit 
den beiden Bussen verbunden. In einem der Bussy- 
steme werden im fehlerfreien Betrieb Prozessdaten 15 
ubertragen und im anderen Bussystem Statusinforma- 
tionen. Jede Ankopplung enthait wenigstens einen 
Kommunikations-Controller, eine Kommunikations-CPU 
und einen Transceiver. Jede Kommunikatlons-CPU 
uberwacht in einem Netzknoten die Funktlonsfahigkeit 20 
der anderen Kommunikations-CPU und erfullt die Funk- 
tion eines Watchdog-Prozessors. Leitungsfehler sowie 
Fehlfunktionen von Kommunikations-Controllern wirken 
sich als Verfaischung von Busnachrichten aus und wer- 
den durch Fehlererkennungsmechanismen entdeckt. 25 
Fehler. die in den Komponenten zwischen Bus und 
Kommunikations-CPU auftreten, werden durch eine 
zykiische Funktionsubenwachung der Komponenten 
festgestellt. Jeder Bus wird im Fehlerfall als Watchdog- 
bus benutzt, um im jeweils anderen Bussystem aufge- 30 
tretene Fehler den Netzteilnehmern mitzuteilen. Bel 
einem Fehler in demjenigen Bus. in dem die Prozessda- 
ten ubertragen werden, wird der Bus gesperrt und der 
Prozessdatenverkehr wird uber den anderen Bus abge- 
wickelt (DE 195 09 558 A1). 35 

Der Erfindung liegtdas Problem zugrunde. ein Bus- 
system bereitzustellen, das bei geringem Aufwand fur 
sicherheitsgerichtete Signale und zahlreiche Busteil- 
nehmer sowie groBe BusleitungslSngen geeignet ist 
und bei einem Fehler eine kurze Reaklionszeit aufweist, 40 
wobei mit einfachen Ma3nahmen uberpruft werden soil, 
ob ein Leitungsfehler vorliegt 

Das Problem wird erfindungsgemSB insbesondere 
gelGst durch ein Bussystem umfassend einen ein Uber- 
tragungsmedium aufweisenden seriellen Datenbus mit 45 
an einem Ende vorhandenen ersten aktiven Busteilneh- 
mer und am anderen Ende vorhandenen zweiten akti- 
ven Busteilnehmer sowie von dem Ubertragungs- 
medium physisch durchgeschleifte weitere Busteilneh- 
mer, wobei zumindest der erste aktive Busteilnehmer so 
und/oder der zweite aktive Busteilnehmer jeweils eine 
Anordnung zum regelmaBigen Aussenden und/oder 
Empfangen von Statusmeldungen aufweist, wobei 
zumindest von einem der Busteilnehmer die von einem 
anderen Busteilnehmer ausgehenden Statusmeldun- 55 
gen auf Ausbleiben innerhalb einer vorgegebenen Zeit- 
spanne Oder auf Abweichung von einer einem 
fehlerfreien Zustand des Bussystems zugeordneten 
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Form uberpruft werden und wobei dann. wenn der Emp- 
fang der Statusmeldungen innerhalb der vorgegebenen 
Zeitspanne ausbleibt Oder Statusmeldungen empfan- 
gen werden. die von einer einen fehlerfreien Zustand 
des Bussystems zugeordneten Form abweichen, das 
Bussystem in einen Zustand versetzt wird. der ein vor- 
gegebenes Sicherheitskriterium erfullt. 

Bei dem erfindungsgemSBen Bussystem mussen 
nicht mehr alle Busteilnehmer fur die Uberprufung 
abgefragt werden, da insbesondere die Mdglichkeit 
besteht, dass der zweite aktive Busteilnehmer (Bus- 
Abschlussteilnehmer, Abschluss-Modul) die Uberwa- 
chungsfunktion des Ubertragungsmediums ubernlmmt. 
DIeser Vorteil kommt insbesondere bei alien Bussyste- 
men zum Tragen. die mit aktiven Multi-Master-Modulen 
in redundanter Ausfuhrung arbeiten. obwohl der Bus 
einkanalig sein kann. Der erste aktive zentrale Busteil- 
nehmer bzw. Bus-Master sendet mit sehr hoher Takt- 
rate im Bereich von 1 0 bis 20 ms uber alle 
Busteilnehmer zum zweiten aktiven Busteilnehmer Sta- 
tusmeldungen und kann mit einer gleich hohen Taktrate 
die Oder sonstige geeignete Statusmeldungen bei ein- 
wandfreiem Ubertragungsmedium zurucksenden. Alter- 
nativ besteht die MOglichkeit. dass der zweite aktive 
Busteilnehmer unabhSngig von vom ersten aktiven Bus- 
teilnehmer ausgehenden Signalen Statusmeldungen 
zum ersten aktiven Busteilnehmer sendet. 

Unabh&ngig wie die von dem zweiten aktiven Bus- 
teilnehmer gesendeten Statusmeldungen ausgelost 
werden, kann das Ubertragungsmedium auf seinen 
ordnungsgemSBen Zustand uberpruft werden. Das 
Ubertragungsmedium kann daher innerhalb der Erst- 
fehlereintrittszeit, die mSglichst kurz zu halten ist, uber- 
pruft werden. Die Prufdatenubertragung fur den Bus 
findet also im wesentlichen zwischen den Busteilneh- 
mern an den Busleitungsenden statt, so daB die Anzahl 
der Teilnehmer die Zeit, mit der die Prufdaten den Bus 
durchlaufen, nur in einem vernachlSssigbaren Umfang 
beeinflusst. Bei dem erfindungsgemaBen Bussystem 
sind die Busteilnehmer zwischen dem zentralen Busteil- 
nehmer bzw. Busmodul an einem Ende und dem akti- 
ven Busteilnehmer bzw. Busmodul am anderen Ende 
des Busses nicht durch Stichleitungen mit dem Ubertra- 
gungsmedium verbunden. Das Ubertragungsmedium 
weist insbesondere zwei Leitungsadern auf. Hierunter 
ist auch ein Ubertragungsmedium mit einer ersten Ader 
und einer leitenden Verbindung uber Masse zu verste- 
hen, die die zweite Ader bildet. Der Bus verlduft also bei 
der erfindungsgemSBen Anordnung vom ersten aktiven 
bzw. zentralen Busteilnehmer bzw. Busmodul, im fol- 
genden auch Bus-Master genannt. durch alle Bus-Teil- 
nehmer im folgenden auch Slaves genannt. physisch 
hindurch und wird am Ende mit dem zweiten aktiven 
Busmodul, auch Abschluss-Modul. versehen. Der Bus 
wird also nur als ein galvanisch von einem zum anderen 
Ende verlaufender Strang ausgefuhrt. Da Stichleitun- 
gen zu den Slaves entfallen, hat der Bus auch einen 
heheren Wlrkungsgrad. 
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Es ist vorgesehen, dass der erste aktive Busteil- 
nehmer die Statusmeldungen des zweiten aktiven Bus- 
teiinehmers uberwacht und umgekehrt und dass die 
weiteren Busteilnehmer die von den anderen Busteil- 
nehmern ausgehenden Statusmeldungen oder Status- 5 
meldungen, die von einer einen fehierfreien Zustand 
des Ubertragungsmediums zugeordneten Form abwei- 
chen. uberwachen. 

Vorzugsweise umfassen zumindest einige der Bus- 
teilnehmer zwei sich gegenseitig uberwachende Einhei- 10 
ten, 

Es ist zweckmaBig, zumindest einige, vorzugs- 
weise sdmtliche Busteilnehmer jeweils als Module mit 
zwei Einheiten auszubilden. die an Sensoren und/oder 
Aktoren angeschlossen sind und sich gegenseitig uber- 15 
wachen. Bei dieser Ausfuhrungsform sind die Busteil- 
nehmer redundant aufgebaut. Durch diesen Aufbau in 
Verblndung mit der Uberwachung muss in den Busteil- 
nehmern nicht mit einem Erstfehler gerechnet werden. 
d.h. diese Busteilnehmer konnen sicherheitstechnisch 20 
groBzugiger dimensioniert werden. 

Der Bus-Master ist grundsStzlich das erste GerSt 
im Strang, das Busabschluss-Modul grunds^tzlich das 
letzte Gerat im Strang. Bus-Master und Busabschluss- 
Modul haben jeweils nur einen Busanschluss, alle 25 
anderen Bus-Module jeweils genau einen Bus eingang 
und einen Bus ausoang . 

Der Bus-Master als erstes Gerat und der Bus- 
Abschluss als letztes Gerat im Strang senden und/oder 
empfangen mit einer hohen Ubertragungsrate (z.B. alle 30 
10 ms) Statusmeldungen, die vorzugsweise voneinan- 
der unabhSngig sind. Diese werden von alien Busteil- 
nehmern kontrolliert. 

Der zentrale Busteilnehmer ist zweckmaBlgerweise 
zweikanalig aufgebaut. Unter zweikanaligem Aufbau ist 35 
hierbei ein Aufbau aus zwei gieichen Einheiten zu ver- 
stehen. Die zwei gieichen Einheiten haben insbeson- 
dere einen gemeinsamen fehlersicheren Vergleicher, 
der AusgSnge z.B. zu einer Relaisebene oder einer 
Equivalent sicheren Abschaltebene aufweist, mit der 40 
vorzugsweise elektrische Verbraucher ein- und ausge- 
schaltet werden. Im Falle einer Relaisebene hat diese 
insbesondere zwangsgefuhrte Relais. 

Bei Ausbleiben der Nachrichten oder fehlerhaften 
Meldungen uber eine festgelegte Fehlertoleranzzeit 45 
hinaus (z.B. 15 ms) muss von einer gestOrten Buslei- 
tung Oder einem defekten Busteilnehmer ausgegangen 
werden. Das System geht dann in einen sicheren 
Zustand uber. 

Das physische Durchschleifen der Busleitung so 
beinhaltet einen Fehlerausschluss innerhalb des Bus- 
Modules zwischen Busleitung und zweikanaligem Bus- 
Modul (da kein logisches datenflussmaBiges Durch- 
schleifen vorgesehen ist). Dies wird erreicht durch elek- 
tro-mechanische MaBnahmen: 55 

Die eingehende Busader der Busleitung ist insbe- 
sondere als wenigstens eine Leiterbahn auf einer Lei- 
terplatte im zweikanalig aufgebauten Busteilnehmer 
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ausgebildet. Die Busleitung ist auf dieser Leiterplatte 
uber geatzte, flachige Leiterbahnen durchgeschleift. 
ZweckmSBigerweise sind auf der gieichen Leiterplatte 
zweikanalig ausgefuhrte Bus-Controller-Bausteine vor- 
gesehen, die an die Leiterbahn unmittelbar. aber unab- 
hangig voreinander uber kurze Stichleiterbahnen 
angeschlossen sind. Beide Bus-Controller-Bausteine 
uberwachen sich gegenseitig. Die galvanische Verbin- 
dung in der Busleitung ist so ausgebildet, daB die 
gleichzeitige elektrische Abtrennung beider Bus-Con- 
troller von der durchgeschleiften Busleitung ausge- 
schlossen ist. 

Die Leiterbahnfuhrung auf der Leiterplatte ist so 
ausgelegt. dass auch bei einem evtl. Durchbohren der 
Leiterplatte ein gleichzeitiges Durchtrennen der Stich- 
leiterbahnen zwischen Bus und beiden Controller aus- 
geschlossen ist, bzw. bei diesem Vorgang auch die 
durchgeschleifte Busleitung mit zerst6rt wird. 

Dieser Fehler wurde dann innerhalb der Erstfehler- 
erkennungszeit von 1 5 ms vom Bussystem erkannt wer- 
den. 

Weitere Einzelheiten. Merkmale und Vorteile der 
Erfindung ergeben sich nicht nur aus den Anspruchen 
und den diesen zu entnehmenden Merkmalen -fur sich 
und/oder in Kombination-, sondern auch ausderfolgen- 
den Beschreibung eines bevorzugten /Vusfuhrungsbei- 
spiels. 

Es zeigen: 

Fig. 1 ein Blockschaltbild eines seriellen Datenbus- 
Systems, mit dem sicherheitsgerichtete 
Signale ubertragen bzw. verarbeitet werden, 

Fig. 2 ein Blockschaltbild eines zentralen Busteil- 
nehmers, 

Fig. 3 ein als Eingangsmodul ausgebildeter Bus- 
teilnehmer im Blockschaltbild, 

Fig. 4 ein als /\usgangsmodul ausgebildeter Bus- 
teilnehmer im Blockschaltbild. 

Ohne die Erfindung einschrSnken zu wollen, wird in 
dem AusfCihrungsbeispiel ein serierelles Bussystem mit 
einem Ubertragungsmedium beschreiben, das zwei 
gleiche Leitungsadern 10, 12 zur Bildung einer Daten- 
leitung umfasst. (Alternativ kGnnte jede Leitungsader 
10, 12 eine Datenleitung 10'. 12' sein). An den einen 
Enden der Leitungsadern 10. 12 ist ein zentraler Bus- 
teilnehmer 14 als erster aktiver Busteilnehmer ange- 
schlossen. Der zentrale Busteilnehmer 14 wird im 
folgenden auch Bus-Master 14 genannt, da er zentrale 
Busverwaltungsaufgaben ausfuhrt. An den anderen 
Enden der beiden Leitungsadern 10, 12 ist ein zwelter 
aktiver Busteilnehmer 16 angeschlossen, der auch als 
/Vbschlussbusteilnehmer 16 oder Abschluss-Modul 16 
bezeichnet wird. Mit den Leitungsadern 10. 12 sind 
Bus-Teilnehmer verbunden. von denen in der Zeich- 
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nung zwei Busteilnehmer 18, 20 dargestellt sind. Die 
auch als Slaves bezeichneten Bus-Teilnehmer 18. 20 
kdnnen an beliebigen Stellen Idngs der Leitungsadern 
10. 12 angeordnet sein, die als Feld-Busse z.B. in einer 
technischen Aniage verlegt sind. Der Bus-Master 14. 
der Abschluss-Busteilnehmer 16 und die Busteilnehmer 
18, 20 sind zweikanalig ausgebiidet. d.h. es sind im 
Bus-Master 14 zwei vorzugsweise gleiche Einheiten AO, 
BO, im aktlven Busteilnehmer 16 zwei vorzugsweise 
gleiche Einheiten A^j, B^ und in den anderen Busteil- 
nehmern 18. 20 jeweils zwei vorzugsweise gleiche Ein- 
heiten A1, B1 und A2. B2 vorhanden. Auf den 
Leitungsadern 10. 12 werden insbesondere sicherheits- 
gerlchtete Signale in digltaler Form ubertragen. Der 
Bus-Master 14 1st grundsatzlich das erste GerSt bzw. 
Modul am jeweiligen serlellen Bus und hat fur jede Lei- 
tungsader 10. 12 einen Busanschluss 22, 24. Der aktive 
Busteilnehmer 16 ist grurtdsStzlich das letzte GerSt am 
Bus und hat fiir jede Datenleitung nur einen Busan- 
schluss 26, 28. Alle anderen Busteilnehmer 18. 20 
haben fur jede Datenleitung jeweils einen Buseingang 
30, 32 bzw. 34, 36 und einen Busausgang 38, 40 bzw. 
42, 44. Die Datenleitung bzw. die Datenleitungen 10'. 
12' sind in den Busteilnehmern 18, 20 physisch durch- 
geschleift. In der Zeichnung sind die durchgeschleiften 
Leitungsadern 10. 12 in bezug auf den Busteilnehmer 
18 (Slave 18) mit 46. 50 und in Bezug auf den Busteil- 
nehmer 20 (Slave 20) mit 52. 54 bezeichnet. AuBerhalb 
der Busteilnehmer kann die Busleitung als koaxiale 
Oder verdrillte Leitungen verlegt sein. 

Die elektrischen Verbindungen 46. 50 und 52, 54 
sind in den Slave-Modulen 18. 20 vorzugsweise auf Lei- 
terplatten als geatzte. flSchige Leiterbahnen ausgebii- 
det und verlaufen zwischen den Buseing^ngen 30, 32 
und den Busausgdngen 38, 40 bzw. zwischen den Bus- 
eingangen 34. 36 und den Busausgdngen 42. 44. Auf 
den gleichen. nicht ndher dargestellten Leiterplatten 
sind intelligente Bus-Controller-Bausteine 56, 58 bzw. 
60. 62 in den Einheiten A1 , B1 . A2, B2 angeordnet. Die 
Bus-Controller-Bausteine 56 bis 62 sind jeweils an die 
elektrischen Verbindungen 46, 50 bzw. 52, 54 unmittel- 
bar iiber Stichleiterbahnen bzw. Stichleitungen 64, 66. 
68, 70 bzw. 72, 74, 76, 78 aber unabhangig voneinan- 
der angeschlossen. Die beiden Bus-Controller-Bau- 
steine 56. 58 bzw. 60, 62 in jedem der Busteilnehmer 
18. 20 ubenwachen sich gegenseltig. Von den Einheiten 
A1, B1, A2, B2 ...An, Bf^ gehen elektrische Verbindun- 
gen zu Sensoren und/oder Aktoren in der jeweiligen 
Maschine Oder Aniage aus. Diese an den jeweiligen 
Einheiten A1. B1, A2. B2...A^j. B^ insgesamt mit 80, 82. 
84. 86. 88 und 90 bezeichneten Verbindungen sind aus 
Redundanzgrunden vorzugsweise jeweils zweikanalig 
zu den Sensoren bzw. Aktoren verlegt. Durch die 
Anordnung der Verbindungen 46. 50, 52, 54 und der 
Stichleitungen 64. 66, 68. 70. 72, 74. 76. 78 auf den Lei- 
terplatten der Busteilnehmer 18, 20 wird ausgeschlos- 
sen, dass beide Bus-Controller-Bausteine 58. 56 bzw. 
60, 62 im jeweiligen Busteilnehmer 18. 20 gleichzeitig 



elektrisch von der durchgeschleiften Datenleitung 
(Ubertragungsmedium) abgetrennt werden kfinnen. Die 
Leiterbahnfuhrung ist deshalb auf der Leiterplatte des 
jeweiligen Busteilnehmers 18. 20 so ausgebiidet, dass 

5 auch bei einem eventuellen Durchbohren der Leiter- 
platte ein gleichzeitiges Durchtrennen der Stichleiter- 
bahnen bzw. Stichleitungen 64. 66, 68, 70 bzw. 72, 74, 
76, 78 ausgeschlossen ist bzw. bei einem solchen Vor- 
gang auch die durchgeschleifte Datenleitung bzw. das 

w Ubertragungsmedium zerstOrt wird. Auch im zweiten 
aktiven Busteilnehmer 16 sind in den Einheiten A^^, B^g 
Bus-Controller-Bausteine 92. 94 vorhanden, die sich 
gegenseitig uberwachen und uber nicht ndher bezeich- 
nete Stichleitungen, die den oben im Zusammenhang 

15 mit den Busteilnehmern 1 8, 20 erwahnten Bedingungen 
gehorchen. jeweils mit den Busanschlussen 26. 28 ver- 
bunden. Im zentralen Busteilnehmer 14 bzw. Bus- 
Master sind die beiden Einheiten AO, BO uber nicht 
nSher bezeichnete Stichleitungen, die den oben im 

20 Zusammenhang mit den Leitungen der Busteilnehmer 
18, 20 erwShnten Bedingungen gehorchen, mit den 
Busanschlussen 22. 24 verbunden. 

Die von den beiden gleichartigen Einheiten AO. BO 
erzeugten Ergebnisse bzw. Signale in bezug auf die 

25 Busuberwachung werden uber eine gaivanisch 
getrennte Verbindung 96 wie Opto-Koppler der jeweils 
anderen Einheit zugefuhrt. indemdie von den Einheiten 
AO und BO erzeugten Signale auf Gleichheit und Gleich- 
zeitigkeit uberwacht werden. Der fehlersichere Verglei- 

30 Cher besteht aus den gleichartigen Einheiten AO. BO, 
der gaivanisch getrennten Verbindung 96 wie Opto- 
Koppler und der Relais K1, K2 oder einer vergleichba- 
ren Schaltung und steuert eine nicht naher dargestellte 
Ausgangsebene. die in der Stromzuleitung des jeweili- 

35 gen Gerats bzw. der Maschine Oder Aniage angeordnet 
sind und bei Ansteuerung durch den Vergleicher die 
Energiezufuhr unterbrechen, um damit das GerSt. die 
Maschine oder technische Aniage in einen sicheren 
Zustand zu uberfuhren. Die Relais oder Schutze haben 

40 zwangsgefuhrte Kontakte, eine Eigenschaft, bei der 
Kontakte der beiden RelaiszustSnde, d.h. Arbeits- und 
Ruhekontakte. nicht gleichzeitig geOffnet bzw. 
geschlossen sein kCnnen, bzw. eine gleichwertige Aus- 
wertelektronik. 

45 Der zentrale Busteilnehmer 14 (Bus-Master) und 
der aktive Busteilnehmer 16 senden und/oder empfan- 
gen mit einer hohen Ubertragungsrate z.B. periodisch, 
Statusmeldungen uber die Datenleitungen 10, 12. Die 
Periode kann z.B. 10 ms betragen. Die Statusmeldun- 

50 gen, die insbesondere Daten in digitaler Form sind. 
gelangen zu den Busteilnehmern 18, 20 und werden 
von diesen auf Gleichheit bzw. Ubereinstimmung mit 
einer vorgegebenen Statusinformation verglichen. Wei- 
terhin uberprufen vorzugsweise sdmtliche, insbeson- 

55 dere die Busteilnehmer 18. 20, 16. ob die 
Statusmeldungen innerhalb einer vorgebenen Fehlerto- 
leranzzeit ubertragen bzw. empfangen werden. Wenn 
die Statusmeldungen nicht innerhalb der Fehlertole- 
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ranzzeit von z.B. 15 ms Oder wenn fehlerhafte Meldun- 
gen empfangen werden. muss von einer gestGrten 
Busleitung bzw. einem defekten Busteilnehmer ausge- 
gangen werden. Die Stdrung wird zumindest in einem 
der Busteilnehmer erkannt. Jeder der die StOrung fest- 
stellende Busteilnehmer wie Bus-Master 14. Abschluss- 
Modul 16 Oder Busteilnehmer 18 Oder 20 kann bei 
einem festgestellten Fehler den Ubergang des Systems 
bzw. des Gerats Oder der Aniage in einen sicheren 
Zustand veranlassen. Der sichere Zustand ist z.B. der 
Stillstand des technischen Systems, des Gerats, der 
Maschine oder der Aniage bzw. die AuBerbetriebnahme 
durch Abschaltung der Betriebsenergie, d.h. es wird 
nach dem Fail-Safe-Prinzip verfahren. 

Allgemein ausgedruckt werden nach Feststellung 
einer Storung in einem gefahrbringenden Bereich 
gefahrbringende Aktiviaten wie Bewegungen, Strahlun- 
gen etc. unverzuglich unterbunden. 

Die Fehlerreaktionszeit ist bei der oben beschriebe- 
nen Anordnung auch bei einer Periode von z.B. 10 ms 
der Statusmeldungen ausreichend kurz. umdie Sicher- 
heitsanforderungen zu erfullen. Ein Fehler wird inner- 
halb der Erstfehlererkennungszeit von z.B. 15 ms vom 
zentralen Busteilnehmer erkannt. 

Die Statusmeldungen werden periodisch vom 
Abschluss-Modul 16 und/oder vom Bus-Master 14 aus- 
gesendet und von den verbleibenden Busteilnehmern 
20, 18, 14 bzw. 18. 20, 16 ausgewertet. Auf diese Weise 
werden Laufzeiten uber die doppelte Lange des jeweili- 
gen Busses vermieden. Falls das Ubertragungsmedium 
unterbrochen oder kurzgeschlossen ist. werden Status- 
meldungen nicht von alien Busteilnehmern 14, 16, 18, 
20 empfangen, wodurch sofort ein Fehler erkennbar ist. 
Zumindest einer der den Fehler feststellende Busteil- 
nehmer 14, 16, 18, 20 lost dann die Stillsetzung des 
Bussystems und z. B. auch weiterer Verbraucher aus. 
die vom Bussystem gesteuert werden. 

In den Busteilnehmern 18, 20, die als Eingabe-, 
Ausgabemodule ausgebildet sind, und im aktiven Bus- 
teilnehmer 16 korrtrollieren sich die intelligenten Bus- 
Controller-Bausteine 58. 56, 60, 62 und 92, 94 gegen- 
seitig und erzeugen bei einem im jeweils anderen Bau- 
stein festgestellten Fehler sofort eine entsprechende 
Meldung, die auf die verbleibenden Busteilnehmer 
ubertragen wird. 

Das oben beschriebene Bussystem ist fur lange 
Busleitungen mit zahlreichen Busteilnehmern geeignet. 
Die Fehfetreaktionszeit ist auch bei vielen Teilnehmern 
und langen Busleitungen kurz, so dass die Sicherheit- 
sanforderungen eingehalten werden. Der Bus-Master 
14 und/oder Abschluss-Modul 16 senden regelmaBIg 
Meldungen zur Leitungsprufung aus, die von den ubri- 
gen Busteilnehmern 16, 18, 20 empfangen werden. Die 
Periode dieser Signale ist z.B. 10 ms. 

Unabhangig davon besteht die Mdglichkeit, dass 
der Bus-Master 14 regelmaBige Signale aussendet. die 
von dem Abschluss-Modul 16 empfangen und zuruck- 
gesendet werden bzw. Ruckmeldungen generiert wer- 



den. Die Funktion von Bus-Master 14 und Abschluss- 
Modul 16 kann dabei vertauscht werden. 

Mit den Bezugszeichen 10. 12 wurden oben jeweils 
die Leitungsadern einer Datenleitung eines Busses 

5 bezeichnet. Die obigen Uberlegungen gelten auch fur 
einen doppelt ausgelegten Bus. wobei unter 10*. 12' 
dessen beide Obertragungsmedien zu verstehen sind, 
d.h. die Bezugszeichen 10', 12' bezeichnen bei einer 
Anordnung mit zwei Bussen jeweils einen Bus. Die 

10 Busse 10', 12* kOnnen jeweils zwei Leitungen aufwei- 
sen. In Rg. 1 wurde dieser Sachverhalt durch Hinzufu- 
gung der Bezugszeichen 10', 12' in Klammern zu den 
Bezugszeichen 10, 12 angedeutet. Die Busse 10', 12' 
weisen je zwei Leitungsadern auf. Bei zwei Bussen 10'. 

15 1 2' ergeben sich im Vergleich zu der in Fig. 1 dargestell- 
ten Anordnung doppelt so viele Busanschlusse, Busein- 
gange, Busausgange, Leiterbahnen zwischen 
Buseingangen und Busausgangen. Stichleitungen und 
Leitungsadern zwischen den Teilnehmern. Es ist mCg- 

20 lich, die Busse 10', 12' zwischen den Teilnehmern auf 
verschiedenen Wegen zu verlegen, um zu verhindern, 
dass sich Beschadigungen, z. B. mechanischer Art. auf 
beide Busse zugleich auswirken. 

Das Bussystem kann insbesondere als Multi- 

25 Master-Bussystem ausgebildet sein und besteht in die- 
sem Fall aus zweikanaligen Teilnehmern, die an einen 
einkanaligen Bus angeschlossen sind. Durch den akti- 
ven Busteilnehmer am Ende des Busses kann der Feh- 
ler "Unterbrechung der Leitung. innerhalb eines 

30 Teilnehmers" mit nur zwei Busteilnehmern und daher 
sehr schnell festgestelit werden. 

Alle Busteilnehmer sind aktiv, d.h. sie senden selb- 
standig (Multi-Master-System). Es wird die Datenverar- 
beitung im Master ausgefuhrt. Alle Busteilnehmer 

35 senden selbstandig periodisch ihre Statusmeldungen. 
Ereignisse (z.B. Anderung von Eingangszustanden) 
werden sofort ohne Zeitverlust ubertragen. 

Bedingt durch die Fehlertoleranzzeit (Erstfehlerein- 
trittszeit) des Systems (es muss innerhalb von z.B. 20 

40 ms sicher abgeschaltet werden kOnnen) muss somit 
eine Busunterbrechung in dieser Zeit sicher erkannt 
werden. 

Wird der Bus ais Strang ausgelegt, und nur noch 
das 1 . Modul (Master = Auswerteeinheit mit Kundenpro- 

45 gramm) und das letzte Modul (Busabschluss) senden 
ihre Statusmeldungen alle 10 ms. die ubrigen Module 
alle 100 ms, mussen nur noch wenige Statusmeldun- 
gen pro Sekunde ubertragen werden. Der Bus ist somit 
frei fur Ereignisse. 

50 Eine Busunterbrechung kann bei dem als Strang 
ausgelegten Bussystem von alien Teilnehmern an feh- 
lenden Statusmeldungen des Masters bzw. des Busab- 
schlusses erkannt werden. 

Bei einem Defekt an einem Busteilnehmer mit lang- 

55 samen Statusmeldungen, muss von der Zweitfehlerein- 
trittszeit ausgegangen werden. da durch die 
konsequente Zweikanaligkeit ein Ausfall eines Bauteils 
keinesfalls ein ganzes Modul funklionsunfahig werden 
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kann. 

Wahrend es nur einen einkanaligen Bus gibt, ent- 
hdlt jedes Modul 2 Busknoten. Die Daten auf den Bus- 1. 
leitungen sind Equivalent Statusmeldungen werden in 
jedem Knoten generiert. Es wird bei Initialisierung des 5 
Systems in jedem Knoten ein Zahler gestartet. der nach 
jeder Meldung inkrementiert wird. Zusdtzlich wird noch 
ein Kontrollbyte ubertragen. 

Die beiden Knoten eines Bus-Moduls uberwachen 
unabhdnglg voneinander die Statusmeldungen die auf io 
dem Bus ubertragen werden. Zusdtzlich ist eine galva- 
nisch getrennte Verbindung (Link) zwischen den Knoten 
vorhanden. uber die Betriebs- bzw. Fehlermeldungen 
ausgetauscht werden. 

Bei dem in Fig. 2 dargestetlten zentralen Busteil- is 
nehmer 14 ist der Anschluss eines Buskabels 100 mit 
den Leitungsadern 10. 12 dargestellt. Das Buskabel 
100 enthait auch nicht naher bezeichnete Stromversor- 
gungsleitungen. Im zentralen Busteilnehmer 14 ist in 
zwei vorzugswiese gleichen Einhetten AO, BO je eine 20 
CPU 102 vorhanden. 

Die Fig. 3 zeigt einen als Eingangsmodul ausgebil- 
deten Busteilnehmer 18, der mit Klemmen, die nicht 
ndher bezeichnet sind, an die Buskabel 104, 106 ange- 
schlossen sind, die jeweils die Leitungsadern 10, 12 25 
und Stromversorgungsleitungen aufweisen. Das Ein- 
gangsmodul 18 weist Eingange 108, 110 usw. fur 
Schalter auf, von denen in Fig. 3 ein Not-Ausschalter 
112 und ein Startschalter 1 14 dargestellt sind. Die Ein- 
gange 108, 110 usw. sind z.B. als Klemmen ausgebil- 30 
det, die uber galvanische Trennstrecken mit den 
Einheiten des Busteilnehmers 18 verbunden sind. 

Bei dem in Fig. 4 dargestellten Ausgangs- bzw. 
Ausgabemodul 20 sind wiederum Buskabel 104, 106 
mit Datenleitungen 10,12 und nicht nSher bezeichneten 35 2. 
Stromversorgungsleitungen an den Busteilnehmer 20 
angeschlossen. Es sind Schutze KI0, K2o, K3o als 
Aktoren mit dem Busteilnehmer 20 verbunden. 

wahrend die Klemmen fur Sensoren an den Ein- 
gangsmodulen nur einmal vorhanden und innerhalb der 40 
Module galvanisch getrennt auf die beiden Knoten auf- 3. 
geteiit sind. sind die Ausgange z.B. 116, 118 fur die 
Aktoren galvanisch getrennt, Kanal 1 NPN schaltend, 
Kanal 2 PNP schaltend, auf zwei unterschiedliche 
Klemmen gelegt. 45 

Die von einem Modul (bzw. einem Knoten des 
Moduls) erzeugten Fehlermeldungen werden alien Teil- 
nehmern gleichzeitig mitgeteilt. Die Verarbeitung der 
Fehlermeldungen wird in jedem Modul unabhangig vor- 
genommen. so 4. 

Bedingt durch die vorgeschriebene externe, als 
Strang verlegte. Busleitung und die vorgegebene innere 
Verdrahtung der Busleitung kann dahingehend ein Feh- 
lerausschluss gemacht werden, dass eine zerstOrte 
Busleitung nicht Innerhalb der Fehlertoleranzzeit des ss 
Systems erkannt wird. 5. 



Patentanspruche 

1. Bussystem umfassend einen ein Ubertragungsme- 
dium (10, 12) aufweisenden seriellen Datenbus mit 
an einem Ende vorhandenen ersten aktiven Bus- 
teilnehmer (14) und am anderen Ende vorhande- 
nen zweiten aktiven Busteilnehmer (16) sowie von 
dem Ubertragungsmedium physisch durchge- 
schleifte weitere Busteilnehmer (18. 20), 

wobei zumindest der erste aktive Busteilneh- 
mer (14) und/oder der zweite aktive Busteil- 
nehmer (16) jeweils eine Anordnung zum 
regelmaGigen Aussenden und/oder Empfan- 
gen von Statusmeldungen aufweist, 

wobei zumindest von einem der Busteilnehmer 
(14, 16, 18, 20) die von einem anderen Busteil- 
nehmer (14, 16, 18, 20) ausgehenden Status- 
meldungen auf Ausbleiben innerhalb einer 
vorgegebenen Zeitspanne Oder auf Abwei- 
chung von einer einem fehlerfreien Zustand 
des Bussystems zugeordneten Form uberpruft 
werden und 

wobei dann, wenn der Empfang der Statusmel- 
dungen innerhalb der vorgegebenen Zeit- 
spanne ausbleibt Oder Statusmeldungen 
empfangen werden, die von einer einen fehler- 
freien Zustand des Bussystems zugeordneten 
Form abweichen. das Bussystem in einen 
Zustand versetzt wird, der ein vorgegebenes 
Sicherheitskriterium erfullt. 

2. Bussystem nach Anspruch 1. 
dadurch gekennzeichnet, 

dass der erste aktive Busteilnehmer (14) die Sta- 
tusmeldungen des zweiten aktiven Busteilnehmers 
(16) uberwacht Oder umgekehrt. 



Bussystem nach Anspruch 1 oder 2, 
dadurch gekennzeichnet, 

dass die weiteren Busteilnehmer (18, 20) die von 
den anderen Busteilnehmern (14, 16, 18, 20) aus- 
gehenden Statusmeldungen oder Statusmeldun- 
gen, die von einer einen fehlerfreien Zustand des 
Ubertragungsmediums zugeordneten Form abwei- 
chen. uberwachen. 

Bussystem nach einem oder mehreren der vorher- 
gehenden Anspruche, 
dadurch gekennzeichnet, 

dass das Ubertragungsmedium zwei Leitungs- 
adern (10. 12) aufweist. 

Bussystem nach einem oder mehreren der vorher- 
gehenden Anspruche, 
dadurch gekennzeichnet, 
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dass zumindest einige der Busteilnehmer (14, 16, 
18, 20) zwei sich gegenseitig uberwachende Ein- 
heiten (A1, B1, A2, B2, An. B^) umfassen. 

6. Bussystem nach einem oder mehreren der vorher- 
gehenden Anspruche, 

dadurch gekennzeichnet, 
dass zumindest einige der Busteilnehmer (14, 16, 
18, 20) als Module mit zwei sich gegenseitig uber- 
wachenden Einheiten (A1, B1 , A2, B2. A^, Bn) aus- 
gebildet sind, die vorzugsweise an Sensoren 
und/oder Aktoren angeschlossen sind. 

7. Bussystem nach einem oder mehreren der vorher- 
gehenden Anspruche. 

dadurch gekennzeichnet, 
dass die an den Enden einer Datenleitung vorhan- 
denen ersten und zweiten aktiven Busteilnehmer 
(14, 16) jeweils einen Datenieitungsanschluss (22, 
24, 26, 28) und die weiteren Busteilnehmer (18, 20) 
jeweils einen Datenleitungseingang (30, 32; 34. 36) 
und einen Datenteitungsausgang (38, 40; 42. 44) 
aufweisen und dass elektrische Verbindungen (46, 
50; 52, 54) der Datenleitung zwischen Eingang und 
Ausgang jeweils zumindest als eine elektrische 
Verbindung, vorzugsweise in Form einer auf einer 
Leiterplatte angeordneten Leiterbahn ausgebildet 
sind. 

8. Bussystem nach einem oder mehreren der vorher- 
gehenden Anspruche, 

dadurch gekennzeichnet, 

dass in den Busteilnehmern (14. 16. 18. 20) jeweils 
zwei intelligente Bus-Controller-Bausteine (56, 58; 
60, 62; 92. 94) durch Stichleitungen (64, 66; 68. 70; 
72, 74; 76, 78) unabhSngig voneinander mit den 
elektrischen Verbindungen (46. 50; 52, 54) der 
Datenleitung (10, 12) verbunden sind. 

9. Bussystem nach einem oder mehreren der vorher- 
gehenden Anspruche, 

dadurch gekennzeichnet, 

dass die Stichleitungen (64. 66. 68, 70, 72. 74, 76. 
78) und die elektrischen Verbindungen (46, 50, 52, 
54) der Busse (10'. 12 ) oder des Busses (10. 12) 
derart in den Busteilnehmern (14. 16, 18. 20) ange- 
ordnet sind, dass bei BeschSdigungen eine gleich- 
zeitige Unterbrechung bzw. gleichzeitiger 
Kurzschluss unterbleibt. 

10. Bussystem nach einem oder mehreren der vorher- 
gehenden Anspruche, 

dadurch gekennzeichnet, 
dass im ersten aktiven Busteilnehmer (14) die bel- 
den vorzugsweise gleichen Einheiten (AO, BO) mit 
einer galvanisch getrennten Verbindung (96) wie 
Opto-Koppler verbunden sind, die AusgSnge zu 
einer Relaisebene oder zu einer aquivalenten 



sicheren Abschaltebene aufweist. 

11. Bussystem nach einem oder mehreren der vorher- 
gehenden Anspruche. 

5 dadurch gekennzeichnet, 

dass zwischen den beiden vorzugsweise gleichen 
Einheiten (A1 , B1 , A2. B2, A^, B^. AO, BO) eine gal- 
vanisch getrennte Verbindung zur Ubertragung von 
Betriebs- und Fehlermeldungen vorgesehen ist. 

10 

12. Bussystem nach einem oder mehreren der vorher- 
gehenden Anspruche, 

dadurch gekennzeichnet, 
dass Anschlusse fur Sensoren an den Busteilneh- 
15 mern (14, 16, 18, 20) je Sensoranschluss einmal 
vorhanden sind und dass die Anschlusse unter gal- 
vanischer Trennung mit den beiden Einheiten der 
Busteilnehmer (18, 20) verbunden sind. 

20 13. Bussystem nach einem oder mehreren der vorher- 
gehenden Anspruche, 
dadurch gekennzeichnet, 
dass Ausgange fur Aktoren galvanisch getrennt auf 
jeweils vorzugsweise zwei Klemmen gelegt sind. 

25 

14. Verfahren zum Betreiben eines Bussystems umfas- 
send einen ein Ubertragungsmedium aufweisen- 
den seriellen Datenbus mit an einem Ende 
vorhandenen ersten aktiven Busteilnehmer und am 
30 anderen Ende vorhandenen zweiten aktiven Bus- 
teilnehmer sowie von dem Ubertragungsmedium 
physisch durchgeschleifte weitere Busteilnehmer, 



35 
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wobei der erste und/oder zweite aktive Busteil- 
nehmer regelmSRig mit einer vorgegebenen 
hohen Taktrate Statusmeldungen auf den seri- 
ellen Bus aussendet und/oder empfangt und 

wobei dann, wenn der Empfang der Statusmel- 
dungen innerhalb einer vorgegebenen Zeit- 
spanne in zumindest einem der Busteilnehmer 
unterbleibt oder von zumindest einem der Bus- 
teilnehmer Statusmeldungen empfangen wer- 
den, die von einer einem fehlerfreien Zustand 
des Ubertragungsmediums zugeordneten 
Form abweichen. das Bussystem in einen 
einem Sicherheitskriterium zugeordneten 
Zustand versetzt wird. 

15. Verfahren nach Anspruch 14, 
dadurch gekennzeichnet, 

dass der die Statusmeldungen empfangende Bus- 
teilnehmer zumindest einer der aktiven Busteilneh- 
mer ist. 

16. Verfahren nach Anspruch 14, 
dadurch gekennzeichnet, 

dass die vorgegebene Zeitspanne 140ms oder 
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weniger betrSgt, vorzugsweise ^ 20ms. Bussystem in einen einem Sicherheitskriterium 

zugeordneten Zustand versetzt wird. 

1 7. Verfahren nach Anspruch 1 4, 
dadurch gekennzeichnet, 

dass die Taktrate der Statusmeldungen des ersten 5 
und/oder zweiten aktiven Busteilnehmers (14, 16) 
im Verhaitnis zu den Taktraten der weiteren Busteil- 
nehmer (18. 20) realtiv hoch ist. vorzugsweise im 
Verhaitnis 10:1 bis 20:1. 

10 

18. Verfahren nach Anspruch 14, 
dadurch gekennzeichnet, 

dass die vom ersten aktiven Busteilnehmer gesen- 
deten Statusmeldungen beim Empfang im zweiten 
aktiven Busteilnehmer von diesem auf den Bus 75 
zum ersten aktiven Busteilnehmer zuruckubertra- 
gen werden und umgekehrt. 

1 9. Verfahren nach Anspruch 1 4, 

dadurch gekennzeichnet, 20 

dass die vom ersten und/oder zweiten aktiven Bus- 
teilnehmer ausgesendeten Statusmeldungen von 
jedem Busteilnehmer uberwacht werden urtd dass 
bei Ausbleiben einer Statusmeldung innerhalb der 
vorgegebenen Zeitspanne oder Abweichung von 25 

einer einem fehlerfreien Zustand des Bussystems ^ 
zugeordneten Form uberpruft werden und wobei 
dann, wenn der Empfang der Statusmeldungen 
innerhalb einer vorgegebenen Zeitspanne in 
zumindest einem der Busteilnehmer unterbleibt 30 
Oder von zumindest einem der Busteilnehmer Sta- 
tusmeldungen empfangen werden. die von einer 
einem fehlerfreien Zustand des Obertragungsmedi- 
ums zugeordneten Form abweichen, das Bussy- 
stem in einen einem Sicherheitskriterium zuge- 35 
ordneten Zustand versetzt wird, 

20. Verfahren zur Ubenwachung eines Ubertragungs- 
mediums eines serlellen Bussystems mit an einem 
Ende vorhandenen ersten aktiven Busteilnehmer 40 
und am anderen Ende vorhandenen zweiten akti- 
ven Busteilnehmer sowie von dem Ubertragungs- 
medium physisch durchgeschleifte weitere 
Busteilnehmer, 
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wobei der erste und/oder zweite aktive Busteil- 
nehmer regelmSBig mit einer vorgegebenen 
hohen Taktrate Statusmeldungen auf den seri- 
ellen Bus aussendet und/oder empfdngt und 
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wobei dann. wenn der Empfang der Statusmel- 
dungen innerhalb einer vorgegebenen Zeit- 
spanne in zumindest einem der aktiven 
Busteilnehmer unterbleibt oder von zumindest 
einem der aktiven Busteilnehmer Statusmel- 5S 
dungen empfangen werden, die von einer 
einem fehlerfreien Zustand des Obertragungs- 
mediums zugeordneten Form abweichen, das 
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